“itsmelsec” kullanıcı adlı araştırmacı, 1071 ve 1453 gibi sayı dizilerini deneyerek 430 yeni kritik altyapı kontrol paneline ulaştığını iddia etti. Paylaşılan ekranlarda su pompaları, depolar, boru hatları ve vanalara ilişkin bilgiler yer alıyor; ancak kontrol düğmelerinin görünmesi, işlemlerin gerçekten yapılabildiğini tek başına göstermiyor.
Kontrol ekranlarında pompa ve vana bilgileri
Araştırmacının X’te yayımladığı görüntülerde su pompalarının çalışma durumunu, depo seviyelerini, boru hatlarındaki basıncı ve vanaların konumlarını izlemeye yarayan arayüzler bulunuyor. Bazı ekranlarda pompaları çalıştırıp durdurma, vanaları açıp kapatma seçenekleri de görülüyor. Bu kontrollerin ekranda yer alması, araştırmacının bunları kullanarak sistemlerde işlem yaptığını kanıtlamıyor.
ASKİ, İLBANK ve DSİ logolu paneller
Paylaşılan görüntülerden birinde ASKİ logosu taşıyan Kuşadası Yeniköy Atık Su Terfi Tesisi’nin izleme ekranı yer alıyor. Panelde terfi pompası havuzunun seviyesi ile üç pompanın çalışma frekansları gösteriliyor.
Başka bir arayüzde İLBANK ve ASKİ logoları bulunuyor; ekranın basınç sabitleme vanası odasına ve içme suyu isale hattıyla bağlantılı bir sisteme ait olduğu anlaşılıyor. Görüntüler arasında “Andon Maslak Pompa” başlıklı bir panel ile farklı sıcak su hatlarını ve pompaları gösteren bir tesis arayüzü de var.
DSİ logosu taşıyan Karasu Regülatörü panelinde beş kapağın durumu ve açma-kapama kontrolleri gösteriliyor. Şanlıurfa Organize Sanayi Bölgesi Vana Kontrol Sistemi başlıklı ekranda ise su giriş ve çıkış vanalarının durumları ile kontrol düğmeleri bulunuyor.
Panellerin internete açık olması güvenlik riski yaratabilir
Endüstriyel kontrol sistemleri; suyun pompalanması, depolanması ve arıtılması gibi fiziksel süreçlerin uzaktan izlenip yönetilmesini sağlıyor. İnternete açık ve yeterli kimlik doğrulamasıyla korunmayan sistemlere yetkisiz erişim mümkün olabilir. Erişim yetkisi yeterliyse, sistemin yapılandırmasına bağlı olarak tesisin işleyişini etkileyen işlemler yapılabilir.
1071 ve 1453 gibi kolay tahmin edilebilecek sayıların kullanıldığı iddiası, tek başına sistemlerin ele geçirildiğini göstermiyor. Bununla birlikte zayıf veya varsayılan parolaların internete açık kontrol panelleriyle bir araya gelmesi ciddi bir güvenlik riski oluşturabilir. Araştırmacı, paylaşımında henüz kimsenin kendisiyle iletişime geçmediğini de belirtti.
İlk olayın ardından ASKİ Genel Müdürü Memduh Aslan Akçay, Yeni Ankara’ya yaptığı açıklamada paylaşılan sistem şemalarının ASKİ’de kullanılan sistemlerle örtüşmediğini ve görüntülerdeki kontrol ekranlarının kurumun mevcut sistemlerinde bulunmadığını söylemişti. Akçay, “Güvenlik açığı gözükmüyor ancak yine de güvenliğimizi sağlamak için kontrollerimizi yapmaya devam ediyoruz. Siber güvenliğin ne kadar önemli olduğunun farkındayız ve güvenliği maksimum seviyede tutmaya çalışıyoruz” ifadelerini kullanmıştı.
